ASA-csoportalias kontra csoport-URL: hogyan választódik ki a profil

Egy kapcsolati profil csak akkor irányít egy munkamenetet, miután az ASA kiválasztotta. Ez az egy mondat a teljes hibakeresési modell egy régi, kliens nélküli portálhoz. Egy használaton kívüli profil kifogástalan hozzáférési szabályokat tartalmazhat, és mégsem vonatkozik senkire. Kövesse végig a bejelentkezési belépési pontot, mielőtt bármilyen házirendet módosít.

Az alábbi megkülönböztetések a 9.16-os dokumentációt követik; a kliens nélküli SSL VPN a 9.17(1)-ben és később megszűnt.

Az alias listabejegyzés, nem URL

group-alias egy címkét ad, amelyet a felhasználó a bejelentkezési oldal csoportlistájából választ ki. A lista megjelenítése külön beállítás, tunnel-group-list enable. Az alias csupán egy kiválasztási név, semmi több. Egy staff nevű alias beállítása nem hoz létre /staff URL-t, amely kiválasztaná a profilt.

Az emberek azt várják, hogy az alias kettős munkát végez, mert a böngészőből nézve a lista és az URL ugyanannak a választásnak tűnik.

Mit is illeszt valójában a group-url

group-url egy beérkező URL-t kapcsol egy kapcsolati profilhoz. Amikor ez az engedélyezett URL illeszkedik, az ASA kiválasztja a profilt anélkül, hogy megkérné a felhasználót, válasszon a listából. Az URL-nek a teljes, szándékolt címnek kell lennie, abban a szintaxisban, amelyet a kiadása támogat. DNS-rekordjának és tanúsítványának egyeznie kell azzal, amit a felhasználók beírni szoktak, különben az egyezés soha nem jön létre.

Egy lemásolt URL-végződés semmit sem bizonyít a konfigurációról. A profilt ellenőrizze, ne a címsávot.

Kövesse a választást a futó házirendig

Miután kiválasztottak egy alagútcsoportot, az eszköz feloldja a hitelesítési módszert és a hozzá kapcsolt alapértelmezett csoportházirendet. Ezután a felhasználóspecifikus attribútumok, a hitelesítés által visszaadott értékek és a dinamikus engedélyezés felülírhatják e bázis részeit. Vizsgálja meg, mit kapott valójában a munkamenet. Az elnevezett házirend önmagában való olvasása a bázist adja, nem az eredményt.

A kettő közötti rés a legtöbb „a szabály helyes, de a hozzáférés hibás” jelentés forrása.

Az öröklés nem elkülönítés

Az általad meghatározatlanul hagyott attribútumok öröklődhetnek az alapértelmezett csoportházirendből. Ezért egy új elnevezett házirend nincs elzárva a megosztott alapértékektől, és azok módosítása minden profilhoz eljut, amely örökli őket. Hasonlítsa össze a tényleges erőforrás-hozzáférést, a DNS-beállításokat és a munkamenet-korlátozásokat profilonként. Ezt tegye, mielőtt bármi megosztottat módosítana.

A hozzáférés kikényszerítését is tartsa külön a választástól.

Kliens nélküli munkamenet esetén az alkalmazandó szűrő a webtype ACL. Egy alagútügyfél VPN-szűrője nem helyettesíti csupán azért, mert mindkettő ugyanazon házirendblokk közelében található a konfigurációban.

Döntse el az illeszkedés nélküli esetet, majd tesztelje az összes útvonalat

Határozza meg, mi történjen a portál általános URL-jén és más, nem illeszkedő belépési pontokon. Nézze meg a valódi alapértelmezett profil útvonalát és annak engedélyezését, ahelyett hogy egy megosztott alapértéket módosítana, csak hogy egyetlen tesztfiók átjusson. Ezután nyisson három friss munkamenetet: a kifejezett URL-t, az engedélyezett listabejegyzést és az általános belépési pontot. Jegyezze fel mindegyiknél a kiválasztott profilt és a tényleges házirendet.

Egy korábbi bejelentkezés böngészőlapjának újrahasználata tönkreteszi az összehasonlítást, mert az a munkamenet már egy profilhoz kötődik.

Ez a feljegyzés a „megnyílik a portál” állítást bejelentkezés–házirend leképezéssé alakítja, amelyet később auditálhat, és ez az egyetlen tartós válasz, amikor egy profil helyesnek látszik, és mégis senkit nem irányít.